CVE-2026-100625 in Capgo
要約
〜によって VulDB • 2026年09月26日
Capgo (capgo.app) は、native ビルド用の TUS アップロードプロキシ（supabase/functions/_backend/public/build/upload.ts）を公開しており、これは提供された builder_job_id で識別される単一のビルドジョブに対して呼び出し元を認証し、そのジョブの保存済み upload_path のみを検証しますが、その後 /build/upload/:jobId/* から取得したユーザー制御可能な TUS リソース接尾辞を Capgo の特権付きビルダー API キーと共にビルダーサービスに転送します。転送された接尾辞は、認証済みのジョブの upload_path や upload_session_key にバインドされないため、1 つのアプリケーションに対して app.build_native 権限を持つ有効な 'all' または 'write' Capgo API キーを保持する呼び出し元は、その承認済みプロキシパスを使用してジョブ A のために TUS アップロードリソースに書き込むことができ、別のジョブ B の TUS アップロードリソース（該当する接尾辞が既知または公開されている場合）に対して不正な書き込みを行い、当該ビルドのアーティファクトを破損させる可能性があります。すべてのバージョンが影響を受けます；アドバイザリー公開時点でパッチは利用できませんでした。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.